GitLab предупредила своих пользователей о критической уязвимости с максимальной степенью опасности в компоненте CI/CD Regular Expression Compiler, которая может позволить удалённому неаутентифицированному злоумышленнику выполнить произвольный код на целевом сервере GitLab. Уязвимости присвоен номер CVE-2026-97229. Её обнаружил специалист по безопасности, использующий псевдоним joaxcar, и сообщил о ней через программу поиска уязвимостей HackerOne.
Как работает уязвимость?
Проблема связана с целочисленным переполнением в компиляторе регулярных выражений — компоненте, который анализирует, компилирует и вычисляет регулярные выражения в файлах конфигурации конвейеров CI/CD. Согласно заявлению GitLab, в определённых условиях недостаточную проверку регулярных выражений можно использовать через специально подготовленное выражение в конфигурации CI/CD, что позволяет неаутентифицированному пользователю выполнить код на сервере GitLab.
Затронутые версии и обновления
GitLab устранила проблему в версиях Community Edition и Enterprise Edition, выпустив следующие обновления:
- версия 19.2.8 или новее вместо версий до 19.2.8;
- версия 19.3.4 или новее вместо версий до 19.3.4;
- версия 19.4.2 или новее вместо версий до 19.4.2.
Компания рекомендует всем пользователям самостоятельно размещаемых установок GitLab немедленно перейти на одну из этих версий, которые также содержат исправления ошибок и уязвимостей безопасности. Сервис GitLab.com уже работает на исправленной версии, а клиентам GitLab Dedicated, согласно компании, предпринимать никаких действий не требуется.
Почему эта новость важна?
Важность уязвимости заключается в том, что для её эксплуатации аутентификация не требуется, а успешная атака может привести к выполнению кода на сервере, размещающем проекты и конвейеры CI/CD. Поэтому практический масштаб воздействия сосредоточен в средах, где GitLab управляется самостоятельно, а не среди пользователей GitLab.com или GitLab Dedicated, согласно доступной информации.
Это исправление последовало за серией уязвимостей, устранённых GitLab в последние месяцы. В январе компания устранила уязвимость высокой степени опасности, позволявшую обойти двухфакторную аутентификацию, с номером CVE-2026-0723, а в прошлом месяце исправила другую уязвимость максимальной степени опасности — CVE-2026-85706, которая позволяла неаутентифицированным злоумышленникам читать конфиденциальные данные, включая учётные данные и секреты, с затронутых серверов.
Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) добавило уязвимость CVE-2026-85706 в каталог фактически эксплуатируемых уязвимостей через день после её исправления и потребовало от федеральных ведомств защитить свои системы в течение трёх дней. В опубликованной информации также отмечается, что CISA зафиксировала эксплуатацию пяти уязвимостей GitLab в атаках с ноября 2021 года, включая уязвимость, использовавшуюся группами, проводящими атаки с применением программ-вымогателей.
Источник не подтверждает, что новая уязвимость CVE-2026-97229 уже эксплуатировалась, поэтому подтверждённой мерой остаются срочное обновление самостоятельно размещаемых версий и проверка соответствующих настроек CI/CD.